Ochrona danych klientów w działalności usług porządkowych od strony technicznej

Komputer używany w firmie sprzątającej przetwarza informacje o szczególnym charakterze: adresy prywatnych mieszkań i biur, kody do domofonów, harmonogramy obecności domowników, numery telefonów oraz dane do rozliczeń. Z technicznego punktu widzenia każda taka informacja to rekord zapisany w strukturze bazy danych programu magazynowo-sprzedażowego, wpis w arkuszu kalkulacyjnym lub plik tekstowy na nośniku pamięci masowej. Gdy system operacyjny nie posiada wymuszonych mechanizmów kontroli dostępu, pliki te leżą na partycji dyskowej w formie jawnej. Oznacza to, że dowolny program działający w tle, nieautoryzowany użytkownik lokalny lub osoba mająca fizyczny kontakt z nośnikiem może odczytać strukturę sektorów bez konieczności łamania zaawansowanych zabezpieczeń.

Praktyka prowadzenia działalności mobilnej sprawia, że laptopy biurowe pracują w zróżnicowanych środowiskach sieciowych — w domowym biurze, w samochodzie podczas dojazdu do obiektów oraz w lokalach klientów. W takich warunkach ochrona danych osobowych zgodnie z przepisami RODO przestaje być wyłącznie kwestią regulaminów papierowych, a staje się zadaniem czysto technicznym. Wymaga właściwej konfiguracji uprawnień w systemie, wdrożenia szyfrowania nośników oraz odseparowania strefy prywatnej od firmowej na pojedynczym stanowisku komputerowym.

Typowe sytuacje i zgłoszenia dotyczące ochrony danych

W codziennej eksploatacji sprzętu komputerowego w branży usług sprzątających nieprawidłowości związane z bezpieczeństwem danych ujawniają się najczęściej w konkretnych momentach organizacyjnych. Podczas rozmów telefonicznych zgłoszenia zwykle dotyczą następujących sytuacji:

  • Współdzielenie jednego laptopa przez koordynatora zleceń oraz pozostałych domowników, co prowadzi do przypadkowego otwarcia bazy klientów przez osoby nieuprawnione.
  • Obawa przed utratą danych i nieautoryzowanym dostępem do grafików sprzątania po zgubieniu lub kradzieży komputera przenośnego używanego w terenie.
  • Pojawienie się nieznanych programów, wyskakujących okien lub podejrzanych rozszerzeń w przeglądarce, w której zapisane są hasła do poczty firmowej i formularzy kontaktowych.
  • Brak pewności, czy dokumenty z danymi osobowymi wysyłane do podwykonawców oraz pracowników fizycznych są zabezpieczone przed przechwyceniem w publicznych sieciach bezprzewodowych.
  • Konieczność bezpiecznego usunięcia historii zleceń, umów i protokołów odbioru ze starego dysku przed wycofaniem sprzętu z użytku.

Przyczyny powstawania luk bezpieczeństwa w systemach komputerowych

Zagrożenia dla poufności informacji nie wynikają zazwyczaj ze skomplikowanych ataków sieciowych, lecz z podstawowych braków konfiguracyjnych w środowisku pracy. Przyczyny problemów z bezpieczeństwem danych można uszeregować od najczęściej spotykanych:

  1. Brak szyfrowania woluminu systemowego i nośników zewnętrznych — domyślna instalacja systemu operacyjnego przechowuje dane w postaci niezaszyfrowanej. Wyjęcie dysku z laptopa lub podłączenie go do innego komputera pozwala na natychmiastowy odczyt wszystkich plików bez znajomości hasła logowania do profilu.
  2. Praca na koncie z uprawnieniami administratora — codzienne korzystanie z konta o najwyższych uprawnieniach sprawia, że każde pobrane złośliwe oprogramowanie uzyskuje pełny dostęp do rejestru, plików systemowych oraz baz danych klientów.
  3. Wspólne konto użytkownika dla celów prywatnych i służbowych — instalowanie gier, narzędzi multimedialnych lub aplikacji rozrywkowych na tym samym profilu, gdzie przechowywane są umowy i adresy klientów, drastycznie zwiększa ryzyko wycieku danych.
  4. Niepoprawnie skonfigurowany magazyn poświadczeń i przeglądarka internetowa — zapisywanie haseł do portali zleceń w pamięci przeglądarki bez hasła głównego umożliwia ich automatyczny eksport przez skrypty śledzące.
  5. Brak automatycznej i odseparowanej kopii zapasowej — przechowywanie kopii zapasowej na stałe podłączonym dysku USB, który w razie infekcji oprogramowaniem szyfrującym ulega zablokowaniu razem z danymi źródłowymi.
  6. Niekontrolowana synchronizacja z chmurą konsumencką — automatyczne wysyłanie arkuszy z danymi teleadresowymi na prywatne dyski internetowe bez weryfikacji uprawnień dostępu i lokalizacji serwerów.

Kiedy to nie jest ta usterka

Warto odróżnić kwestie naruszenia bezpieczeństwa oraz technicznych wymogów ochrony danych od problemów związanych ze stabilnością sprzętu lub oprogramowania biurowego. Zgłaszany problem nie dotyczy technicznych luk bezpieczeństwa i procedur RODO w następujących okolicznościach:

  • Uszkodzenie mechaniczne lub zużycie pamięci flash nośnika SSD — gdy komputer przestaje wykrywać dysk, pojawia się komunikat o braku urządzenia rozruchowego lub system zawiesza się podczas próby odczytu dowolnego pliku. Jest to awaria fizyczna nośnika, a nie blokada bezpieczeństwa czy działanie szkodliwego oprogramowania.
  • Błąd spójności bazy danych w programie do faktur — sytuacja, w której aplikacja zgłasza błąd integralności tabel po nagłym zaniku zasilania, wynika z uszkodzenia struktury logicznej pliku bazy, a nie z ingerencji z zewnątrz.
  • Problemy z łącznością w domowej sieci bezprzewodowej — brak dostępu do sieci spowodowany usterką modułu radiowego w laptopie lub złą konfiguracją punktu dostępowego nie oznacza przejęcia połączenia ani ataku sieciowego.
  • Wyczerpanie miejsca na partycji systemowej — spowolnienie pracy komputera i brak możliwości zapisu nowych umów spowodowany zapełnieniem przestrzeni dyskowej przez pliki tymczasowe to kwestia konserwacji systemu, a nie incydent bezpieczeństwa.

Wdrażanie technicznych środków ochrony danych i konfiguracja środowiska

Zabezpieczenie stanowiska komputerowego w firmie sprzątającej wymaga przeprowadzenia audytu technicznego oraz wdrożenia odpowiednich mechanizmów ochronnych bezpośrednio w konfiguracji sprzętu i oprogramowania.

Procedura serwisowa rozpoczyna się od analizy stanu wyjściowego. Sprawdzana jest struktura partycji, obecność modułu TPM (Trusted Platform Module) na płycie głównej — układu kryptograficznego odpowiedzialnego za bezpieczne generowanie i przechowywanie kluczy szyfrujących — oraz typ kont użytkowników. Następnie realizowane są konkretne prace wdrożeniowe:

  • Uruchomienie pełnego szyfrowania dysków — wdrożenie mechanizmu szyfrowania partycji systemowych oraz nośników wymiennych (dysków zewnętrznych i pamięci przenośnych). Dane zostają przekształcone w ciąg nieczytelnych znaków za pomocą algorytmu kryptograficznego, co uniemożliwia ich odczytanie po fizycznym wymontowaniu dysku bez podania klucza deszyfrującego.
  • Konfiguracja podziału uprawnień i profili użytkowników — utworzenie oddzielnych kont ze standardowymi uprawnieniami do codziennej pracy oraz zabezpieczenie konta administracyjnego osobnym, silnym hasłem. W przypadku komputerów wykorzystywanych także prywatnie wdrażana jest pełna izolacja danych firmowych od osobistych.
  • Zabezpieczenie oprogramowania rozruchowego UEFI/BIOS — nałożenie hasła na poziomie oprogramowania układowego płyty głównej oraz zablokowanie możliwości uruchamiania systemów z zewnętrznych nośników USB, co uniemożliwia obejście zabezpieczeń systemu operacyjnego przez osoby trzecie.
  • Konfiguracja zapory sieciowej i filtrowania ruchu — ustawienie reguł firewalla (zapory sieciowej monitorującej pakiety przychodzące i wychodzące), blokujących nieautoryzowane próby połączeń przy korzystaniu z sieci publicznych podczas pracy mobilnej.
  • Wdrożenie bezpiecznego systemu archiwizacji — skonfigurowanie automatycznych harmonogramów tworzenia kopii zapasowych baz klientów i dokumentacji, z zapisem do zaszyfrowanego kontenera danych z zachowaniem zasady izolacji nośnika kopii.
  • Bezpowrotne niszczenie danych z wycofywanych nośników — przeprowadzenie procedury wielokrotnego nadpisywania sektorów dysku magnetycznego losowymi ciągami danych lub wykonanie polecenia Secure Erase w kontrolerze dysku półprzewodnikowego SSD, co uniemożliwia późniejsze odzyskanie wrażliwych informacji przez niepowołane osoby.

Czego nie robić na własną rękę i co można sprawdzić przed przyjazdem serwisu

Samodzielne, pośpieszne próby modyfikacji ustawień zabezpieczeń mogą doprowadzić do trwałej blokady dostępu do danych firmowych lub ich uszkodzenia.

Czynności, których nie należy wykonywać bez odpowiedniego przygotowania:

  • Nie wolno uruchamiać procedury szyfrowania całego dysku bez uprzedniego sporządzenia kompletnej kopii zapasowej danych na osobnym nośniku zewnętrznym. Przerwanie procesu szyfrowania przez brak zasilania lub awarię sprzętową może spowodować nieodwracalną utratę struktury plików.
  • Nie należy instalować wielu programów antywirusowych jednocześnie. Dwa aktywne pakiety bezpieczeństwa działające na poziomie jądra systemu wchodzą w konflikty, blokując wzajemnie swoje procesy i powodując niestabilność całego komputera.
  • Nie wolno stosować niesprawdzonych programów do czyszczenia rejestru i automatycznej optymalizacji systemu pobranych z przypadkowych stron internetowych, gdyż często zawierają one moduły szpiegujące.
  • Nie należy usuwać kont użytkowników bez wcześniejszego sprawdzenia, w których folderach zlokalizowane są bazy danych programów rozliczeniowych i pliki poczty elektronicznej.

Przed przyjazdem serwisanta można bezpiecznie zweryfikować kilka podstawowych elementów:

  • Sprawdzić, czy system operacyjny pobiera bieżące aktualizacje bezpieczeństwa i czy nie wyświetla komunikatów o błędach usługi aktualizacji.
  • Upewnić się, czy ważne pliki firmowe (umowy, grafiki, bazy adresowe) znajdują się w jednym, określonym katalogu, co ułatwi ich późniejsze zabezpieczenie i skonfigurowanie kopii zapasowej.
  • Zanotować nazwy programów używanych do obsługi zleceń oraz sprawdzić, czy dostępne są dane konfiguracyjne niezbędne do ich prawidłowego zabezpieczenia.

Współpraca z serwisem i realizacja usług na miejscu

Wdrożenie zabezpieczeń komputerowych i procedur technicznych związanych z ochroną danych realizujemy z dojazdem do klienta w biurze lub w miejscu prowadzenia działalności. Prace wykonujemy na terenie Warszawy oraz okolicznych miejscowości, bez konieczności odłączania sprzętu i dowożenia go do punktu stacjonarnego.

Każda wizyta rozpoczyna się od szczegółowej weryfikacji stanu technicznego komputera i analizy konfiguracji systemu. Przed przystąpieniem do jakichkolwiek modyfikacji przedstawiana jest indywidualna wycena całego zakresu prac. W przypadku standardowych wdrożeń, takich jak konfiguracja uprawnień, szyfrowanie czy zabezpieczenie sieci, wszystkie czynności przeprowadzane są na miejscu u klienta. Jeżeli zakres prac obejmuje wielogodzinne operacje na dużych zbiorach danych, gruntowną naprawę uszkodzonego systemu lub konieczność wykonania złożonych procedur na nośnikach, sprzęt może zostać odebrany do warsztatu i odwieziony pod wskazany adres po zakończeniu prac.

Podczas realizacji zleceń związanych z bezpieczeństwem danych domyślnie pracujemy bez konieczności znajomości prywatnych haseł użytkownika, a wgląd w poświadczenia wymagany jest wyłącznie w ściśle określonych momentach instalacyjnych po uprzednim wyjaśnieniu celu operacji. Na życzenie klienta zapewniamy bezpłatne podpisanie umowy o poufności (NDA) przed rozpoczęciem jakichkolwiek działań na sprzęcie. Wszelkie procedury techniczne realizują wyłącznie nasi stali serwisanci.

W celu umówienia dojazdu serwisanta i bezpiecznego skonfigurowania komputerów firmowych prosimy o kontakt telefoniczny pod numerem 22 257 87 54.